プライバシーポリシー

1. はじめに

Experience North Santorini（以下「当社」）は、お客様の個人データの保護に努めています。このプライバシーポリシーでは、お客様が当社のウェブサイトをご利用になる際に、当社がお客様の情報をどのように収集、使用、保存、共有するかについて説明します。 experience-northsantorini.com （以下「サイト」といいます）および関連サービス。

当社は、一般データ保護規則（EU）2016/679（「GDPR」）の目的におけるデータ管理者です。当社の連絡先情報は、お問い合わせ以下のセクションをご覧ください。

2. 収集するデータ

3. お客様のデータの利用方法

当社は、お客様の個人データを以下の目的で処理します。

• 予約の履行 — お客様の体験、お食事、スパ、クルーズ、送迎のご予約を処理いたします。
• 支払い処理 — Vivaを通じて安全に取引を処理します。お客様のカード情報は当社のサーバーには一切保存しません。
• 取引メール — Resendを使用して、予約確認、リマインダー、キャンセル通知を送信します。
• サイトセキュリティ — CloudflareおよびCloudflare Turnstileを使用して、不正利用、ボット攻撃、および詐欺行為から保護します。
• エラー監視 — Sentryを使用してバグを特定し修正します（すべてのテキストはマスクされ、個人情報は収集されません）。
• 分析 — Google Analytics 4（IPアドレスの匿名化あり）およびVercel Analytics（お客様の同意がある場合のみ）を通じて、訪問者が当サイトをどのように利用しているかを把握します。
• メディア配信 — Cloudflare R2とMuxを通じて最適化された画像と動画を配信します。

4. クッキーとトラッキング

当サイトでは、クッキーおよび類似の技術を使用してサイトを運営しています。フッターの「クッキー設定」をクリックするか、 クッキーの設定を開くには、こちらをクリックしてください。.

必須クッキー

これらのクッキーはサイトの機能に不可欠であり、無効にすることはできません。これには、認証トークン（Supabase）、カートと旅行プランナーのストレージ（localStorage）、およびクッキーの使用に関する同意設定が含まれます。

分析用クッキー

お客様の同意に基づき、当社はGoogle Analytics 4およびVercel Analyticsを使用して、訪問者が当サイトをどのように利用しているかを把握しています。Google Analyticsは匿名化されたデータ（IPアドレスは匿名化されます）を収集し、_gaや_ga_*などのCookieを設定して、個々の訪問者を識別します。Vercel AnalyticsはCookieを使用せずに匿名化されたページビューデータを収集します。個人情報は第三者と共有されません。Cookieの設定からいつでもオプトアウトできます。

機能性クッキー

お客様の同意を得た上で、Sentryは技術的な問題の診断を支援するため、匿名化されたセッションリプレイを記録する場合があります。すべてのテキストコンテンツとメディアは、データが取得される前にマスキングされます。

5. 第三者サービス

当社は、GDPRに基づきデータ処理者として活動する以下の第三者サービスプロバイダーとデータを共有します。

6. データ保持

当社は、お客様の個人データを、収集目的を達成するために必要な期間のみ保持します。

7. GDPRに基づくあなたの権利

GDPR（一般データ保護規則）に基づくデータ主体として、あなたは自身の個人データに関して以下の権利を有します。

• アクセス権 — 当社が保有するお客様の個人データのコピーを請求してください。
• 訂正権 — 不正確または不完全なデータの訂正を依頼する。
• 消去権 — 個人データの削除を要求する（ただし、法的保存義務に従う）。
• 制限を受ける権利 — お客様のデータの処理方法を制限するよう要求する。
• データポータビリティの権利 — 構造化された、機械可読形式でデータを受け取ります。
• 異議を申し立てる権利 — 正当な利益に基づく処理に異議を申し立てる。
• 同意を撤回する権利 — 同意に基づく処理（例：分析用クッキー）については、同意撤回前の処理の合法性に影響を与えることなく、いつでも同意を撤回することができます。
• 苦情を申し立てる権利 — ギリシャデータ保護局（HDPA）に苦情を申し立てる場合は、以下の連絡先までご連絡ください。 www.dpa.grまたは、お住まいの地域のEU監督当局にお問い合わせください。

これらの権利を行使するには、下記までご連絡ください。infonorthsantorini.com 30日以内にご返信いたします。

8. 国際データ転送

当社の一部のサービスプロバイダーは、欧州経済領域（EEA）外でデータを処理しています。そのような場合、当社は適切な安全対策が講じられていることを確認します。

• EU-US Data Privacy Framework — Google, Sentry, Resend, Mux, and Vercel are certified under the EU-US Data Privacy Framework.
• Standard Contractual Clauses (SCCs) — where the DPF does not apply, we rely on EU-approved Standard Contractual Clauses.
• EU-based processing — our primary database (Supabase) and rate limiting infrastructure (Upstash) are hosted in the EU (Frankfurt).

9. データセキュリティ

当社は、お客様の個人データを保護するために、適切な技術的および組織的な措置を実施しています。

• Encryption in transit — all connections use HTTPS/TLS, enforced by Cloudflare.
• Password security — passwords are hashed using bcrypt via Supabase Auth.
• Row Level Security — database access is restricted so users can only access their own data.
• Rate limiting — API endpoints are rate-limited to prevent brute-force and abuse attacks.
• Bot protection — Cloudflare Turnstile verifies human users on sensitive forms.
• Error monitoring — Sentry provides real-time alerting with all PII masked.

10．子どものプライバシー

当社のサービスは18歳未満の方を対象としていません。当社は意図的に子供から個人データを収集することはありません。万が一、当社が誤って子供からデータを収集してしまったと思われる場合は、ご連絡ください。速やかに削除いたします。

11. 本ポリシーの変更

当社は、業務慣行の変更または適用法令の変更を反映させるため、本プライバシーポリシーを随時更新する場合があります。重要な変更を行う場合は、本ページ上部の「最終更新日」を更新します。重大な変更については、電子メールまたは当社ウェブサイト上の目立つ通知によってお客様にお知らせする場合もあります。

12. お問い合わせ

このプライバシーポリシーについてご質問がある場合、またはデータ保護に関する権利を行使したい場合は、当社までご連絡ください。